פגיעות אבטחה משמעותית בחלק מהטלפונים של סמסונג עלולה לגרום לאיפוס היצרן באמצעות דף אינטרנט

עדכון, 09/26: סמסונג הודיעה לנו כי הקושחה האחרונה של Galaxy S3 פותרת את הניצול הזה. הבדיקות שלנו הראו כי טלפונים אחרים, במיוחד דגמי Galaxy S2, עדיין עשויים להיות בסיכון. אם אתה עדיין מודאג, תוכל לבדוק את מבחן הפגיעות של USSD כדי לבדוק אם הטלפון שלך פגיע.

פגיעות אבטחה משמעותית התגלתה בכמה סמארטפונים סמסונג מבוססי TouchWiz, כולל Galaxy S2 ודגמי Galaxy S3 מסוימים בקושחה ישנה. חוקר האבטחה ראווי בורגונקר בוועדת האבטחה Ekoparty הוצג לראשונה לפני ימים. זה כרוך בשימוש בשורת קוד יחידה בדף אינטרנט זדוני כדי להפעיל מייד איפוס יצרן מבלי להנחות את המשתמש, או לאפשר לו לבטל את התהליך. חמור עוד יותר הוא האפשרות שאפשר יהיה לשדך זאת עם תקלה דומה בכדי להפוך את כרטיס ה- SIM של המשתמש לבלתי ניתן לשימוש. וכיוון שהקוד הזדוני הוא בצורת URI, ניתן גם למסור אותו באמצעות קוד NFC או QR.

ה- Verizon Galaxy S3 שלנו לא אופס על ידי הקוד הזדוני המוטבע בדף אינטרנט, אם כי הצלחנו להפעיל איפוס באמצעות קוד דומה שקשור להיפר-קישור. המחלקה לנייד ג'סטין קייס מספרת לנו שהבעיה מתוקנת בחברות ה- AT&T וה- Galaxy S3 הבינלאומיות האחרונות, אם כי מכשירים שלא עודכנו עשויים להישאר פגיעים. אחרים דיווחו כי מכשירים כמו Galaxy Ace ו- Galaxy Beam מושפעים אף הם. אולם עד כמה שניתן לדעת, הבאג אינו משפיע על טלפונים של סמסונג המריצים אנדרואיד במלאי, כמו Galaxy Nexus.

הפגיעות היא תוצאה של האופן בו אפליקציית החייגן המקורית של Samsung מטפלת בקודי USSD וקישורי טלפון. קודי USSD הם שילובים מיוחדים של תווים אותם ניתן להזין בלוח המקשים לביצוע פונקציות מסוימות, כגון הפעלת העברת שיחות, או גישה לתפריטים מוסתרים בהתקן. בטלפונים של סמסונג, יש גם קוד USSD לאיפוס הטלפון של היצרן (וככל הנראה קוד אחר לביצוע ה- SIM שלך). זה, בשילוב עם העובדה שהחייגן מפעיל אוטומטית קישורי טלפון שמועברים אליו על ידי אפליקציות אחרות, מביא לסוגיה מגעילה במיוחד עבור כל מי שמצער מספיק כדי להפעיל אותו באמצעות דף אינטרנט זדוני.

יש כמובן יישומים אחרים של תקלה זו - לדוגמה, ניתן להשתמש ביכולת להריץ אוטומטית מספרים דרך חייגן כדי להתקשר למספרי טלפון בשיעור פרמיום. אבל העובדה שרק ביקור באתר אינטרנט יכול לאפס את הטלפון שלך, למחוק את האחסון הפנימי שלך ולהגביל את ה- SIM שלך הוא נושא רציני מאוד. אז אנו ממליצים לעדכן את התוכנה שלך אם אתה מפעיל S3, ואם אתה לא, אנו ממליצים להשתמש בחייגן של צד שלישי כמו Dialer One עד שכל זה יתפוצץ.

פנינו לסמסונג להגיב בנושא זה ונעדכן אותך בכל מידע שהם מספקים.

מקור: @Paul Olvia; דרך SlashGear, @backlon, @teamandirc